Articolo 9 per l’IA fintech: sistema di gestione dei rischi

L’articolo 9 stabilisce obblighi per il fornitore. Non fissa alcun elenco di rischi, valore di metrica o soglia per il fintech né per altri settori.

• art. 9(1)
  Istituire, attuare, documentare e mantenere

  Per i sistemi di IA ad alto rischio deve essere istituito, attuato, documentato e mantenuto un sistema di gestione dei rischi.

• art. 9(2)
  Un processo continuo lungo l’intero ciclo di vita

  Il sistema è un processo iterativo continuo, pianificato ed eseguito nel corso dell’intero ciclo di vita, con riesame e aggiornamento costanti e sistematici. Comprende quattro fasi. Prima: identificare e analizzare i rischi noti e ragionevolmente prevedibili per la salute, la sicurezza o i diritti fondamentali quando il sistema è utilizzato conformemente alla sua finalità prevista. Seconda: stimare e valutare i rischi con uso conforme alla finalità prevista e in condizioni di uso improprio ragionevolmente prevedibile. Terza: valutare altri eventuali rischi derivanti dai dati del monitoraggio successivo all’immissione sul mercato (articolo 72). Quarta: adottare misure di gestione dei rischi opportune e mirate.

• art. 9(3)
  Solo i rischi che progettazione o informazioni possono affrontare

  I rischi considerati sono quelli che possono essere ragionevolmente attenuati o eliminati attraverso lo sviluppo o la progettazione del sistema oppure la fornitura di informazioni tecniche adeguate.

• art. 9(5)
  Il rischio residuo deve essere considerato accettabile

  Il rischio residuo pertinente associato a ciascun pericolo e il rischio residuo complessivo devono essere considerati accettabili. I rischi sono eliminati o ridotti con la progettazione e lo sviluppo, per quanto possibile dal punto di vista tecnico. Ove opportuno, per i rischi che non possono essere eliminati si adottano adeguate misure di attenuazione e di controllo. I deployer ricevono le informazioni richieste dall’articolo 13 e, ove opportuno, una formazione.

• art. 9(6)–(8)
  Prove sulla base di metriche definite in anticipo

  I sistemi ad alto rischio sono sottoposti a prova per individuare le misure di gestione dei rischi più appropriate. Le prove garantiscono che funzionino in modo coerente per la finalità prevista e rispettino i requisiti della sezione 2. Sono effettuate, a seconda dei casi, in un qualsiasi momento dello sviluppo e, in ogni caso, prima dell’immissione sul mercato o della messa in servizio. Le prove si basano su metriche e soglie probabilistiche definite precedentemente e adeguate alla finalità prevista. Le procedure di prova possono comprendere prove in condizioni reali (articolo 60).

• art. 9(9)
  Persone di età inferiore a 18 anni e altri gruppi vulnerabili

  I fornitori prestano attenzione, nell’ottica della finalità prevista, all’eventualità che il sistema possa avere un impatto negativo sulle persone di età inferiore a 18 anni e, a seconda dei casi, su altri gruppi vulnerabili.

L’articolo 9 si applica solo ai sistemi di IA ad alto rischio. Le righe seguenti mostrano quando l’IA fintech diventa ad alto rischio.

• Fintech non è una categoria del regolamento

  Il regolamento non ha una categoria fintech. Questo sito usa la parola per l’IA che rientra nel regolamento attraverso due usi dell’allegato III, punto 5. Il punto 5, lettera b), riguarda i sistemi di IA destinati a essere utilizzati per valutare l’affidabilità creditizia delle persone fisiche o per stabilire il loro merito di credito. Fa eccezione per i sistemi di IA utilizzati allo scopo di individuare frodi finanziarie. Il punto 5, lettera c), riguarda i sistemi di IA destinati a essere utilizzati per la valutazione dei rischi e la determinazione dei prezzi in relazione a persone fisiche nel caso di assicurazioni sulla vita e assicurazioni sanitarie. Il punto 5 non nomina il rilevamento delle frodi, i controlli antiriciclaggio o di conoscenza del cliente (KYC), il trading algoritmico, la consulenza automatizzata (robo-advice), le assicurazioni non vita, la gestione dei sinistri né le decisioni di credito riguardanti persone giuridiche. Un sistema per uno di questi usi è ad alto rischio solo se lo contempla un altro punto dell’allegato III oppure l’allegato I.

• L’articolo 6, paragrafo 3, può escludere un sistema dall’allegato III

  Un sistema rientrante nel punto 5, lettera b), o nel punto 5, lettera c), è ad alto rischio ai sensi dell’articolo 6, paragrafo 2. Ai sensi dell’articolo 6, paragrafo 3 non è ad alto rischio se non presenta un rischio significativo di danno per la salute, la sicurezza o i diritti fondamentali, anche nel senso di non influenzare materialmente il risultato del processo decisionale. Il regolamento applica questa deroga quando è soddisfatta almeno una delle condizioni seguenti (articolo 6, paragrafo 3, lettere da a) a d)). Il sistema è destinato a eseguire un compito procedurale limitato. Oppure è destinato a migliorare il risultato di un’attività umana precedentemente completata. Oppure è destinato a rilevare schemi decisionali o deviazioni da schemi decisionali precedenti e non è finalizzato a sostituire o influenzare la valutazione umana precedentemente completata senza un’adeguata revisione umana. Oppure è destinato a eseguire un compito preparatorio per una valutazione pertinente ai fini dei casi d’uso elencati nell’allegato III. Come queste condizioni si combinino con la verifica del rischio significativo è una questione per un giurista. Il sistema è sempre ad alto rischio se effettua profilazione di persone fisiche. La profilazione è definita dall’articolo 4, punto 4, del GDPR (articolo 3, punto 52). Stabilire se un dato sistema di scoring o di determinazione dei prezzi la effettui è anch’essa una questione per un giurista. Il fornitore che si avvale dell’eccezione documenta la propria valutazione prima che il sistema sia immesso sul mercato o messo in servizio. Deve inoltre registrare il sistema (articolo 6, paragrafo 4, articolo 49, paragrafo 2).

• Fornitore e deployer

  Il fornitore sviluppa un sistema di IA, o lo fa sviluppare, e lo immette sul mercato o lo mette in servizio con il proprio nome o marchio (articolo 3, punto 3). La messa in servizio comprende la fornitura per uso proprio del fornitore (articolo 3, punto 11). Una banca o un’impresa di assicurazione che sviluppa un sistema e lo mette in servizio con il proprio nome è quindi un fornitore. Una banca o un’impresa di assicurazione che usa un sistema sotto la propria autorità è un deployer (articolo 3, punto 4). Un deployer diventa fornitore in tre casi. Appone il proprio nome o marchio su un sistema ad alto rischio già immesso sul mercato, fatti salvi accordi contrattuali che prevedano una diversa ripartizione degli obblighi. Apporta una modifica sostanziale a tale sistema, che lo lascia ad alto rischio. Oppure modifica la finalità prevista di un sistema non ad alto rischio in modo che lo diventi (articolo 25, paragrafo 1). Il fornitore che aveva inizialmente immesso il sistema sul mercato o lo aveva messo in servizio non è più considerato fornitore di quel determinato sistema e deve cooperare strettamente con il nuovo fornitore (articolo 25, paragrafo 2). Ciò non vale se il fornitore iniziale ha chiaramente specificato che il suo sistema non deve essere trasformato in un sistema di IA ad alto rischio.

• Istituti finanziari: che cosa possono combinare

  Alcuni fornitori sono soggetti a requisiti relativi ai processi interni di gestione dei rischi a norma di altre disposizioni pertinenti del diritto dell’Unione. Per loro, gli aspetti di cui all’articolo 9, paragrafi da 1 a 9, possono far parte delle procedure di gestione dei rischi stabilite a norma di tale diritto oppure essere combinati con le stesse (articolo 9, paragrafo 10). Per i fornitori che sono istituti finanziari soggetti a requisiti di governance interna a norma del diritto dell’Unione in materia di servizi finanziari, l’obbligo relativo al sistema di gestione della qualità si considera soddisfatto rispettando tali regole. Fanno eccezione il sistema di gestione dei rischi, il monitoraggio successivo all’immissione sul mercato e la segnalazione di incidenti gravi (articolo 17, paragrafo 4, che rinvia all’articolo 17, paragrafo 1, lettere g), h) e i)). Il regolamento non nomina alcuna legge specifica in materia di servizi finanziari.

• Date

  I requisiti per questi usi dell’allegato III si applicano dal 2 dicembre 2027 (articolo 113, terzo comma, lettera c), punto i)). Un sistema immesso sul mercato o messo in servizio prima di tale data è coperto solo se in seguito subisce modifiche significative della progettazione. In ogni caso, i fornitori e i deployer di sistemi di IA ad alto rischio destinati a essere utilizzati da autorità pubbliche devono adottare le misure necessarie per conformarsi entro il 2 agosto 2030 (articolo 111, paragrafo 2).

• Sanzioni

  I fornitori devono garantire che i loro sistemi ad alto rischio rispettino i requisiti della sezione 2 del capo III, che comprende gli articoli da 9 a 15 (articolo 16, lettera a)). La violazione degli obblighi dei fornitori di cui all’articolo 16 o degli obblighi dei deployer di cui all’articolo 26 può essere punita con sanzioni amministrative pecuniarie. La sanzione arriva fino a 15 milioni di EUR o, per un’impresa, fino al 3 % del fatturato mondiale totale annuo dell’esercizio precedente, se superiore (articolo 99, paragrafo 4, lettere a) ed e)). Per le PMI, comprese le start-up, ogni sanzione arriva al massimo all’importo più basso tra i due (articolo 99, paragrafo 6). Lo stesso vale per le piccole imprese a media capitalizzazione (articolo 3, punto 14 ter, articolo 99, paragrafo 6 bis). Ciascuno Stato membro stabilisce norme che dispongano in quale misura possono essere inflitte sanzioni amministrative pecuniarie ad autorità pubbliche e organismi pubblici istituiti in tale Stato membro (articolo 99, paragrafo 8).

• Portata e limiti del regolamento

  Il regolamento si applica ai fornitori e ai deployer che hanno il loro luogo di stabilimento o sono situati in un paese terzo, laddove l’output prodotto dal sistema di IA sia utilizzato nell’Unione (articolo 2, paragrafo 1, lettera c)). Non si applica a settori che non rientrano nell’ambito di applicazione del diritto dell’Unione e non pregiudica le competenze degli Stati membri in materia di sicurezza nazionale (articolo 2, paragrafo 3). Il regolamento non si applica ai sistemi o modelli di IA, ivi compresi i loro output, specificamente sviluppati e messi in servizio al solo scopo di ricerca e sviluppo scientifici (articolo 2, paragrafo 6). Non si applica alle attività di ricerca, prova o sviluppo relative a un sistema prima della sua immissione sul mercato o messa in servizio. La prova in condizioni reali non rientra in tale esclusione (articolo 2, paragrafo 8). I sistemi di IA rilasciati con licenza libera e open source sono esclusi dal regolamento. Tale esclusione non vale se sono immessi sul mercato o messi in servizio come sistemi di IA ad alto rischio, o se rientrano nell’articolo 5 o 50 (articolo 2, paragrafo 12).

• Nessun elenco di rischi né valori di prova per il fintech

  L’articolo 9 non nomina rischi, metriche o valori soglia per lo scoring creditizio o la determinazione dei prezzi assicurativi. Il fornitore individua i rischi del proprio sistema e fissa le metriche e le soglie adatte alla finalità prevista (articolo 9, paragrafi 2 e 8). Il regolamento stesso non nomina alcuna norma armonizzata. I sistemi ad alto rischio conformi alle norme armonizzate pubblicate nella Gazzetta ufficiale dell’Unione europea si presumono conformi ai requisiti della sezione 2, nella misura in cui tali norme li contemplano (articolo 40, paragrafo 1). La Commissione elabora orientamenti sull’applicazione pratica dei requisiti e degli obblighi di cui agli articoli da 8 a 15, 25 e 26 (articolo 96, paragrafo 1, lettera a)).

• Esempio: rischi di un sistema di scoring creditizio

  Esempio, non un requisito del regolamento: il fornitore di un sistema di scoring creditizio potrebbe elencare il rischio che i richiedenti di un gruppo ottengano sistematicamente punteggi più bassi. Potrebbe verificare tale rischio con una metrica fissata prima della prova e registrare il risultato.

• Esempio: rischi della determinazione dei prezzi assicurativi

  Esempio, non un requisito del regolamento: il fornitore di un sistema di determinazione dei prezzi assicurativi potrebbe chiedersi se i suoi prezzi svantaggino i gruppi vulnerabili (articolo 9, paragrafo 9). Potrebbe poi decidere quale modifica della progettazione o quale istruzione per l’uso ridurrebbe tale rischio.

• Articolo 9: sistema di gestione dei rischi per l'IA ad alto rischio

  L’articolo 9 per tutti i settori: requisiti, date e sanzioni.

• Regolamento IA fintech: guida alla conformità

  Panoramica sul fintech: come il regolamento raggiunge l’IA per lo scoring creditizio e per le assicurazioni.

• Articolo 10 per l’IA fintech: dati e governance dei dati

  IA fintech e articolo 10: set di dati, esame delle distorsioni e categorie particolari di dati personali.

• Articolo 6: classificazione dei sistemi IA ad alto rischio

  Come l’articolo 6 classifica i sistemi di IA ad alto rischio, compresa l’eccezione dell’articolo 6, paragrafo 3.